[Risposta veloce]
Per impostare DKIM , genera una chiave in ciascuna piattaforma di invio (o con un generatore DKIM ), pubblica la chiave pubblica come record TXT o CNAME su selector._domainkey.yourdomain.com , abilita l'accesso alla piattaforma e conferma i passaggi della firma con una ricerca DKIM o un'analisi dell'intestazione.
Fatti chiave
- ›Selettore predefinito Google Workspace : google.
- ›Microsoft 365 utilizza i record CNAME selector1 e selector2.
- ›Utilizza chiavi RSA a 2048 bit laddove l'host DNS consente valori TXT lunghi.
Recensito dal team di ricerca EmailAuth
La configurazione DKIM richiede cinque passaggi: generare una coppia di chiavi, pubblicare la chiave pubblica nel DNS su un selettore, abilitare la firma sulla piattaforma di invio, verificare che le firme passino e si allineino con il dominio Da, quindi ruotare le chiavi in base a una pianificazione. La maggior parte delle piattaforme di posta elettronica generano le chiavi per te e ti forniscono un record da incollare nel DNS , quindi il lavoro consiste principalmente in un'attenta copia e verifica. Una volta attivo, DKIM contribuisce all'allineamento DMARC insieme a SPF .
Prima di iniziare
Elenca tutti i servizi che inviano posta utilizzando il tuo dominio: provider di posta elettronica, strumento di marketing, helpdesk, sistema di fatturazione e qualsiasi altro. Ognuno necessita della propria chiave DKIM e del proprio selettore. La mancanza di un servizio significa che la sua posta potrebbe non superare DKIM e, una volta applicato DMARC , finire nello spam o tornare indietro. Una scansione del dominio ti aiuta a trovare mittenti che avevi dimenticato.
- 1
1. Genera una coppia di chiavi
Crea una chiave pubblica e privata, idealmente RSA a 2048 bit. La maggior parte delle piattaforme lo fa per te nelle impostazioni DKIM e mantiene la chiave privata dalla propria parte. Se esegui l'hosting autonomo, genera la coppia con gli strumenti del server di posta e archivia la chiave privata in modo sicuro.
- 2
2. Pubblica la chiave pubblica nel DNS
Aggiungi un record TXT a selector._domainkey.yourdomain.com , utilizzando il selettore fornito dalla tua piattaforma. Il valore è simile a v=DKIM1; k=rsa; p=YOUR_PUBLIC_KEY. Se la chiave è lunga, suddividila in stringhe tra virgolette in modo che DNS accetti l'intero valore.
- 3
3. Abilita la firma
Attiva la firma DKIM nella tua piattaforma di invio in modo che ogni messaggio in uscita riceva un'intestazione DKIM-Signature . Conferma la firma della piattaforma con il selettore e il dominio che hai pubblicato.
- 4
4. Verificare le firme e l'allineamento
Invia un messaggio di prova a una casella di posta che controlli e controlla le intestazioni per un passaggio DKIM . Conferma che il dominio d= corrisponda al tuo dominio Da in modo che DKIM sia allineato per DMARC . Una scansione del controllo o del dominio conferma la forza e l'allineamento in un solo sguardo.
- 5
5. Ruotare le chiavi secondo un programma
Pianificare la sostituzione delle chiavi ogni sei-dodici mesi. Pubblica un nuovo selettore, cambia la firma su di esso, verifica che passi, quindi rimuovi il vecchio record una volta che nessuna posta lo utilizza.
Esempio di registrazione
s1._domainkey.example.com IN TXT " v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQ..." suddiviso tra stringhe tra virgolette se il DNS limita la lunghezza del record.
Errori comuni di configurazione
- Incollare la chiave con interruzioni di riga o spazi che corrompono il valore.
- Pubblicazione con il nome del selettore sbagliato quindi il record risulta mancante.
- Utilizzo di una chiave da 1024 bit quando è disponibile quella da 2048 bit.
- Dimenticare un servizio di invio, quindi la sua posta rimane non firmata.
- Abilitare la firma ma non controllare mai che il dominio sia allineato con From per DMARC .
Verificare, quindi applicare
Dopo che DKIM ha superato e si è allineato, sposta DMARC verso l'applicazione. Inizia da p=none per guardare i report, conferma che tutti i mittenti si autenticano, quindi passa a p=quarantine e p=reject. Google e Yahoo richiedono l'autenticazione dei mittenti in blocco dal 2024, quindi una configurazione DKIM verificata fa parte del raggiungimento della casella di posta. EmailAuth monitora i selettori dopo la configurazione, contrassegna le chiavi deboli o obsolete e conferma che DKIM rimane allineato man mano che aggiungi nuovi mittenti.
Domande frequenti
Quanto tempo impiega DKIM per funzionare dopo la pubblicazione del record?
È necessario che il record DNS si propaghi, operazione che in genere richiede pochi minuti ma può richiedere fino a un giorno a seconda del provider e del TTL. Una volta che la chiave pubblica è visibile nel DNS e la firma è abilitata, i destinatari possono verificare la tua posta. Invia un messaggio di prova e controlla le intestazioni per confermare che passa.
Posso utilizzare una chiave DKIM per tutti i miei strumenti di invio?
È più pulito dare a ciascun servizio il proprio selettore e la propria chiave, perché la chiave privata rimane su quella piattaforma. Condividere una chiave tra più strumenti non è pratico poiché ciascuna piattaforma possiede la propria chiave privata. L'utilizzo di un selettore per servizio semplifica inoltre la rotazione e la risoluzione dei problemi.
Quale lunghezza della chiave dovrei utilizzare per DKIM ?
Utilizza RSA a 2048 bit laddove il tuo provider DNS e la tua piattaforma lo supportano. È più potente del vecchio standard a 1024 bit, che alcuni ricevitori ora scoraggiano. Se una chiave lunga non rientra in una stringa TXT , suddividila in più stringhe tra virgolette.
Ho ancora bisogno di SPF e DMARC se DKIM è configurato?
SÌ. DKIM dimostra che il messaggio è stato firmato e inalterato, ma DMARC collega l'autenticazione al dominio Da visibile e dice ai destinatari cosa fare in caso di errori. SPF fornisce un secondo percorso di allineamento. Tutti e tre insieme sono ciò che Google e Yahoo si aspettano dai mittenti di massa.
Come configuro DKIM ?
Attiva DKIM nella tua piattaforma di posta elettronica, copia il record DNS che mostra, pubblicalo, attendi la propagazione DNS e fai clic su Verifica o inizia a firmare.
Quanto tempo impiega DKIM per funzionare?
Solitamente da minuti ad alcune ore, a seconda della propagazione DNS e del TTL del tuo provider.
[ DKIM guida]
Provenienza aziendale
Perché le principali istituzioni finanziarie e i governi hanno ritirato le dashboard di sicurezza della posta elettronica.
Le tradizionali piattaforme di autenticazione e-mail ti vendono una dashboard e chiedono ai tuoi ingegneri di fare il lavoro. Negli ambienti ad alto rischio, la supervisione manuale comporta un’applicazione ritardata, deviazioni della configurazione e domini ombra non monitorati.
EmailAuth è la piattaforma di provenienza della posta elettronica degli agenti. I nostri agenti applicano p=reject, mantieni allineati i mittenti di terze parti e sposta i tuoi domini al massimo RFC 9989 conformità, il nuovo standard DMARC , con verificabilità human-in-the-loop.
SaaS · Locazione dedicata · Air-gapped on-premise · Crittografia BYOK